智能网络入侵检测系统关键技术研究

智能入侵检测系统是指将人工智能技术应用于入侵检测的建模及检测的系统，是入侵检测技术发展的主要趋势之一。本文以建立一个智能网络入侵检测系统(INIDS)原型为主线，研究了其中包括数据采集与信息表示、数据预处理技术、静态建模技术、动态自动模型更新技术等在内的关键技术。论文的研究内容和创新点主要有以下几个方面： (1) 提出了面向智能入侵检测建模的数据采集及度量选取和构造要求，并从样本数量和度量集大小两个角度给出了建模时的信息充分性分析，为构造一个具有良好性能的智能入侵检测系统提供了保证。 (2) 提出了“强相关”和“增量有用相关”相结合的特征相关性定义，并在此基础上设计了一种基于遗传算法和Wrapper模型的新的最优特征子集选取算法——SRRW (Strong Relevant Restricted Wrapper)。与现有算法相比，SRRW在数据缩减和建模的准确性方面有明显优势。 (3) 针对现有误用检测系统建立单一行为轮廓，检测结果可信度不高的问题，提出了一种基于简单贝叶斯(Na(?)ve Bayes)后分类的双轮廓混合检测算法，有效地提高了检测的准确率和结果的可信度； (4) 通过对系统静态认知能力的研究，提出了一种新的面向数据的INIDS静态建模方法——概念级误用检测(Concept Level Misuse Detection，CLMD)，解决了现有误用检测方法无法检测未知攻击的问题。该技术已申请国家专利(一种基于相关特征聚类的层次入侵检测系统，中国专利：03137094．2，2003-06-28)； (5) 针对现有入侵检测系统无法实现知识库的即时自我更新问题，从多视和互训练的角度提出了入侵检测模型动态自动更新IDMDUA算法(Intrusion Detection Model Dynamic Updating Algorithm)，使系统能够根据检测阶段的新信息实现检测模型的动态更新，大大缩短了新攻击的有效生存期，同时也减少了手工分析的烦琐劳动； (6) 通过对关键技术的研究，实现了一个具有自学习功能的INIDS系统原型。多个INIDS节点按一定的方式进行分布式设置，可以进一步得到具有自学习能力的大规模分布式入侵检测学习系统。提出了该分布式系统的框架，讨论了其中的规则集融合以及通信等问题。